SSL-Richtlinien verwenden

Console

Regionale SSL-Richtlinie

So erstellen Sie eine regionale SSL-Richtlinie mit einem vordefinierten Profil:

1. Rufen Sie in der Cloud de Confiance -Console die Seite SSL-Richtlinien auf.

   Zu „SSL-Richtlinien“

2. Klicken Sie auf Richtlinie erstellen.

3. Klicken Sie unter Regionale SSL-Richtlinie auf den Button Erstellen daneben. Die Seite Richtlinie erstellen wird angezeigt.

4. Geben Sie einen Namen ein.

5. Wählen Sie bei Region eine Region aus.

6. Wählen Sie einen Wert für Mindest-TLS-Version aus.

7. Wählen Sie für Profil die Option Kompatibel, Modern, Eingeschränkt oder FIPS_202205 aus.

   • Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
   • Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

   Anschließend werden die Bereiche Aktivierte Features und Deaktivierte Features für das Profil angezeigt.

8. Wählen Sie für Post-Quanten-Schlüsselaustausch die Option Standard, Aktiviert oder Aufgeschoben aus. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

9. Wenn Sie die SSL-Richtlinie an ein Lastenausgleichsmodul anhängen möchten, klicken Sie auf Auf Ziele anwenden und wählen eine Weiterleitungsregel aus. Fügen Sie bei Bedarf weitere Ziele hinzu.

10. Klicken Sie auf Erstellen.

gcloud

Regionale SSL-Richtlinie

Dies ist die allgemeine Syntax zum Erstellen einer regionalen SSL-Richtlinie mit einem vordefinierten Profil.

• Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
• Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile {COMPATIBLE | MODERN | RESTRICTED | FIPS_202205} \
    --min-tls-version {1.0 | 1.1 | 1.2 | 1.3} \
    --region REGION \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

• SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
• REGION: die Region für die SSL-Richtlinie.
• MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Console

Regionale SSL-Richtlinie

So erstellen Sie eine regionale SSL-Richtlinie mit einem benutzerdefinierten Profil:

1. Rufen Sie in der Cloud de Confiance -Console die Seite SSL-Richtlinien auf.

   Zu „SSL-Richtlinien“

2. Klicken Sie auf Richtlinie erstellen.

3. Klicken Sie unter Regionale SSL-Richtlinie auf den Button Erstellen daneben. Die Seite Richtlinie erstellen wird angezeigt.

4. Geben Sie einen Namen ein.

5. Wählen Sie bei Region eine Region aus.

6. Wählen Sie einen Wert für Mindest-TLS-Version aus.

7. Wählen Sie für Profil die Option Benutzerdefiniert aus. Alle Funktionen werden als Deaktivierte Funktionen angezeigt.

8. Wählen Sie für Post-Quanten-Schlüsselaustausch die Option Standard, Aktiviert oder Aufgeschoben aus. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

9. Wählen Sie in der Liste Funktionen alle Chiffresammlungen aus, die Sie aktivieren möchten. Die aktivierten Chiffresammlungen werden anschließend unter Aktivierte Funktionen aufgeführt. Weitere Informationen zu den verschiedenen Cipher Suites, die Sie bei Verwendung des CUSTOM-Profils auswählen können, finden Sie unter Cipher Suites für TLS 1.2 und früher.

10. Wenn Sie die SSL-Richtlinie an einen Load-Balancer anhängen möchten, klicken Sie auf Auf Ziele anwenden und wählen eine Weiterleitungsregel aus. Fügen Sie bei Bedarf weitere Ziele hinzu.

11. Klicken Sie auf Erstellen.

gcloud

Wenn Sie eine SSL-Richtlinie mit dem Profil CUSTOM erstellen, werden nur die Funktionen unterstützt, die Sie im Befehl create angeben. Andere Funktionen werden nicht unterstützt.

Regionale SSL-Richtlinie

Dies ist die allgemeine Syntax zum Erstellen einer regionalen SSL-Richtlinie mit einem benutzerdefinierten Profil:

gcloud compute ssl-policies create SSL_POLICY_NAME \
    --profile CUSTOM \
    --min-tls-version {1.0 | 1.1 | 1.2} \
    --custom-features SSL_FEATURE_1[,SSL_FEATURE_2,SSL_FEATURE_3] \
    --region REGION \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

• SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
• SSL_FEATURE_1 | 2 | 3: Die verschiedenen Chiffrierverfahren, die Sie bei Verwendung des CUSTOM-Profils auswählen können. Weitere Informationen finden Sie unter Cipher Suites für TLS 1.2 und früher.
• REGION: die Region, in der die SSL-Richtlinie angewendet werden soll
• MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Console

Rufen Sie in der Cloud de Confiance -Console die Seite SSL-Richtlinien auf.

Zu „SSL-Richtlinien“

Sie können eine Liste aller verfügbaren SSL-Richtlinien aufrufen. Das Feld Bereich gibt an, ob die SSL-Richtlinie global oder regional ist.

gcloud

Nur regionale SSL-Richtlinien auflisten:

gcloud compute ssl-policies list --regions REGION

Ersetzen Sie REGION durch die Region, in der die SSL-Richtlinie angewendet werden soll.

Console

1. Rufen Sie in der Cloud de Confiance -Console die Seite SSL-Richtlinien auf.

   Zu „SSL-Richtlinien“

2. Klicken Sie auf den Namen der Richtlinie, deren Features Sie aufrufen möchten. Die aktivierten und deaktivierten Chiffresammlungen werden aufgeführt.

gcloud

So listen Sie die in regionalen SSL-Richtlinien verfügbaren Features auf:

gcloud compute ssl-policies list-available-features \
    --region REGION

Ersetzen Sie REGION durch die Region der SSL-Richtlinie, deren Funktionen Sie auflisten möchten.

Console

So ändern Sie eine regionale SSL-Richtlinie:

1. Rufen Sie in der Cloud de Confiance -Console die Seite SSL-Richtlinien auf.

   Zu „SSL-Richtlinien“

2. Klicken Sie auf den Namen der Richtlinie, die Sie ändern möchten.

3. Klicken Sie auf Bearbeiten.

4. Nehmen Sie die gewünschten Änderungen vor.

5. Klicken Sie auf Speichern.

gcloud

Zum Ändern einer vorhandenen SSL-Richtlinie müssen Sie eines oder alle der Flags übergeben, die den zu aktualisierenden Feldern entsprechen. Nicht angegebene Felder werden nicht aktualisiert.

Wenn Sie die Funktionen aktualisieren, werden zuvor aktivierte Funktionen gelöscht und durch die neu angegebenen Funktionen ersetzt.

Regionale SSL-Richtlinien

• Für SSL-Richtlinien, die das Profil FIPS_202205 verwenden, muss eine Mindest-TLS-Version von 1.2 verwendet werden.
• Wenn Sie die TLS-Mindestversion einer SSL-Richtlinie auf 1.3 festlegen, muss die Richtlinie das Profil RESTRICTED verwenden.

gcloud compute ssl-policies update SSL_POLICY_NAME \
    --profile {COMPATIBLE | MODERN | RESTRICTED | CUSTOM | FIPS_202205} \
    --min-tls-version {1.0 | 1.1 | 1.2 | 1.3} \
    --custom-features FEATURES \
    --region REGION \
    --post-quantum-key-exchange MODE

Ersetzen Sie Folgendes:

• SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
• FEATURES: Die verschiedenen Chiffrierverfahren, die Sie bei Verwendung des CUSTOM-Profils auswählen können. Weitere Informationen finden Sie unter Cipher Suites für TLS 1.2 und früher.
• REGION: die Region der SSL-Richtlinie, deren Funktionen Sie aktualisieren möchten
• MODE: Sie können den Post-Quantum-Schlüsselaustauschmodus auf ENABLED, DEFAULT oder DEFERRED festlegen. Weitere Informationen zu den verschiedenen Modi finden Sie unter Post-Quantum-Schlüsselaustauschmodi.

Console

Sie können einen Zielproxy mithilfe der Cloud de Confiance Console erstellen, wenn Sie den Load-Balancer erstellen oder aktualisieren, wie in den folgenden Dokumenten gezeigt:

• Regionalen externen Application Load Balancer einrichten
• Regionalen internen Application Load Balancer einrichten

gcloud

So erstellen Sie einen regionalen HTTPS-Zielproxy mit einer regionalen SSL-Richtlinie:

gcloud compute target-https-proxies create REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --ssl-certificates SSL_CERTIFICATE_NAME \
    --url-map URL_MAP_NAME \
    --url-map-region MAP_REGION \
    --ssl-policy SSL_POLICY_NAME \
    --region REGION

Ersetzen Sie Folgendes:

• REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
• SSL_CERTIFICATE_NAME: der Name des TLS-Zertifikats
• URL_MAP_NAME: der Name des URL-Mappings
• MAP_REGION: der Name der Cloud de Confiance-Region, in der sich die URL-Zuordnung befindet
• SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
• REGION: die Region der SSL-Richtlinie, mit der Sie den HTTPS-Zielproxy erstellen möchten

Console

Zielproxys können in der Cloud de Confiance Console nicht geändert werden. Verwenden Sie stattdessen die gcloud CLI oder die API.

gcloud

Sie können die folgenden Befehle verwenden, um eine vorhandene SSL-Richtlinie an einen HTTPS-Proxy anzuhängen.

• So finden Sie alle Projekte in Ihrer Organisation, die Ziel-HTTPS-Proxys haben:

  gcloud asset search-all-resources \
      --scope=organizations/ORGANIZATION_ID \
      --asset-types=compute.googleapis.com/TargetHttpsProxy
  

  Ersetzen Sie ORGANIZATION_ID durch die ID der Organisation, in der Sie nach HTTPS-Zielproxys suchen möchten.

• Verwenden Sie die Methode targetHttpsProxies.aggregatedList, um alle regionalen HTTPS-Zielproxys in einem Projekt aufzulisten, wobei der Abfrageparameter includeAllScopes auf true festgelegt ist. Verwenden Sie dann den filter-Suchparameter, um nach Ziel-HTTPS-Proxys zu suchen, auf die keine SSL-Richtlinie verweist.

  curl \
      'https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/aggregated/targetHttpsProxies?filter=sslPolicy%3D%22%22&includeAllScopes=true&key=YOUR_API_KEY' \
      --header 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
      --header 'Accept: application/json' \
      --compressed
  

  Ersetzen Sie Folgendes:

  • PROJECT_ID: der Name der Projekt-ID
  • YOUR_API_KEY: Ihr API-Schlüssel
  • YOUR_ACCESS_TOKEN: Ihr Zugriffstoken

• So hängen Sie eine vorhandene regionale SSL-Richtlinie an einen regionalen HTTPS-Zielproxy an:

  gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
      --ssl-policy SSL_POLICY_NAME \
      --region REGION
  

  Ersetzen Sie Folgendes:

  • REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
  • SSL_POLICY_NAME: Der Name, den Sie der SSL-Richtlinie zugewiesen haben, die die TLS-Funktionen definiert, die Ihr Load-Balancer beim Aushandeln von Verbindungen mit Clients verwendet.
  • REGION: die Region der SSL-Richtlinie, die Sie an den regionalen HTTPS-Zielproxy anhängen möchten

Wenn Sie eines der Flags --ssl-policy oder --clear-ssl-policy in einer Zielproxy-Aktualisierung nicht angeben, z. B. beim Aktualisieren eines SSL-Zertifikats, bleibt die SSL-Richtlinie unverändert. Das Flag --clear-ssl-policy wird unter SSL-Richtlinie von einem Zielproxy löschen beschrieben.

API

Verwenden Sie die regionTargetHttpsProxies.patch-Methode, um eine regionale SSL-Richtlinie für einen regionalen Zielproxy festzulegen.

Console

Zielproxys können in der Cloud de Confiance Console nicht geändert werden. Verwenden Sie stattdessen die gcloud CLI oder die API.

gcloud

Sie können die folgenden Befehle verwenden, um eine SSL-Richtlinie von einem HTTPS-Proxy zu entfernen. Wenn Sie keine andere SSL-Richtlinie an den Ziel-Proxy anhängen, verwendet der Load-Balancer die Standard-SSL-Richtlinie. Die Verwendung des Flags --clear-ssl-policy entspricht dem Austausch einer SSL-Richtlinie durch die Standard-SSL-Richtlinie.

So entfernen Sie eine regionale SSL-Richtlinie von einem regionalen Ziel-HTTPS-Proxy:

gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
    --clear-ssl-policy \
    --region REGION

Ersetzen Sie Folgendes:

• REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys
• REGION: die Region der SSL-Richtlinie, die Sie an den regionalen HTTPS-Zielproxy anhängen möchten

Wenn Sie im Update-Befehl das Flag --clear-ssl-policy angeben, wird die SSL-Richtlinie vom Proxy entfernt.

Wenn Sie eines der Flags --clear-ssl-policy und --ssl-policy in einer Zielproxy-Aktualisierung nicht angeben, z. B. beim Aktualisieren eines SSL-Zertifikats, bleibt die SSL-Richtlinie unverändert. Eine Beschreibung des Flags --ssl-policy finden Sie im Abschnitt Vorhandene SSL-Richtlinie an einen vorhandenen Ziel-Proxy anhängen.

gcloud

• So erstellen Sie einen regionalen HTTPS-Zielproxy:

  gcloud compute target-https-proxies create REGIONAL_TARGET_HTTPS_PROXY_NAME \
      --url-map=URL_MAP_NAME \
      --url-map-region=REGION \
      --ssl-certificates=SSL_CERTIFICATE_NAME \
      --ssl-policy=projects/POLICY_PROJECT_ID/regions/REGION/sslPolicies/CENTRAL_SSL_POLICY_NAME \
      --region=REGION \
      --project=SERVICE_PROJECT_ID
  

Ersetzen Sie Folgendes:

• TARGET_HTTPS_PROXY_NAME, TARGET_SSL_PROXY_NAME und REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des Ziel-Proxys.
• URL_MAP_NAME ist der Name der URL-Zuordnung.
• SSL_CERTIFICATE_NAME: der Name des TLS-Zertifikats.
• BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
• POLICY_PROJECT_ID: Die ID des Projekts, in dem sich die SSL-Richtlinie befindet.
• CENTRAL_SSL_POLICY_NAME: Der Name der SSL-Richtlinie.
• SERVICE_PROJECT_ID: die ID des Projekts, in dem Sie den Load-Balancer bereitstellen.
• REGION: die Region, in der sich der Zielproxy und die SSL-Richtlinie befinden.

Terraform

Wenn Sie in derselben Terraform-Konfiguration auf SSL-Richtlinien in anderen Projekten verweisen möchten, verwenden Sie die Ressource google_compute_ssl_policy im zentralen Richtlinienprojekt und übergeben Sie ihre Ressourcen-ID an die Ressource google_compute_target_https_proxy im Dienstprojekt.

# SSL Policy in the central policy project
resource "google_compute_ssl_policy" "central_policy" {
  name             = "CENTRAL_SSL_POLICY_NAME"
  project          = "POLICY_PROJECT_ID"
  profile          = "MODERN"
  min_tls_version  = "TLS_1_2"
}

# Target HTTPS proxy in the service project
resource "google_compute_target_https_proxy" "default" {
  name             = "TARGET_HTTPS_PROXY_NAME"
  project          = "SERVICE_PROJECT_ID"
  url_map          = google_compute_url_map.default.id
  ssl_certificates = [google_compute_managed_ssl_certificate.default.id]
  ssl_policy       = google_compute_ssl_policy.central_policy.id
}

gcloud

Wenn Sie auf die zentrale Richtlinie verweisen möchten, führen Sie den Aktualisierungsbefehl für den Zielproxy aus und geben Sie den vollständigen Ressourcen-URI der Richtlinie an.

• Für regionale HTTPS-Load-Balancer:

  gcloud compute target-https-proxies update REGIONAL_TARGET_HTTPS_PROXY_NAME \
      --ssl-policy=projects/POLICY_PROJECT_ID/regions/REGION/sslPolicies/CENTRAL_SSL_POLICY_NAME \
      --region=REGION \
      --project=SERVICE_PROJECT_ID
  

Ersetzen Sie Folgendes:

• TARGET_PROXY_NAME und REGIONAL_TARGET_HTTPS_PROXY_NAME: der Name des SSL- bzw. HTTPS-Zielproxys.
• POLICY_PROJECT_ID: Die ID des Projekts, in dem sich die SSL-Richtlinie befindet.
• CENTRAL_SSL_POLICY_NAME: Der Name der SSL-Richtlinie.
• SERVICE_PROJECT_ID: die ID des Projekts, in dem sich der Load-Balancer befindet.
• REGION: die Region, in der sich der Zielproxy und die SSL-Richtlinie befinden.

Terraform

• Für regionale Load Balancer:

  Wenn Sie auf eine vorhandene zentrale regionale SSL-Richtlinie verweisen möchten, die von einem anderen Team oder in einer separaten Terraform-Konfiguration verwaltet wird, legen Sie das Feld ssl_policy in der Konfiguration des Zielproxys auf die Ressourcen-ID der SSL-Richtlinie fest, die im zentralen Richtlinienprojekt erstellt wurde. Geben Sie dazu den vollständigen Ressourcen-URI-String an. Weitere Informationen finden Sie unter google_compute_target_https_proxy.

  resource "google_compute_target_https_proxy" "default" {
    name             = "TARGET_HTTPS_PROXY_NAME"
    project          = "SERVICE_PROJECT_ID"
    url_map          = google_compute_url_map.default.id
    ssl_certificates = [google_compute_managed_ssl_certificate.default.id]
    ssl_policy       = "projects/POLICY_PROJECT_ID/regions/REGION/sslPolicies/CENTRAL_SSL_POLICY_NAME"
  }